الخلاصة
- فرضت لجنة حماية المعلومات الشخصية في كوريا الجنوبية على KT غرامة قدرها 53.979 مليار وون، إلى جانب أوامر تصحيح وتحسين ونشر للقرار.
- بلغ العدد المنقح 16,647 شخصاً بعد حذف الشركات وتكرار أصحاب الخطوط المتعددة من بلاغ KT الأولي البالغ 22,227 خطاً.
- شمل التسرب أرقام الهواتف ومعرفات IMSI وIMEI، وتعرض 368 شخصاً لمدفوعات غير مصرح بها بنحو 240 مليون وون.
- نسخ المهاجم شهادة من خلية صغيرة مفقودة تابعة لـKT، ووضعها في جهاز صُنع خصيصاً، ثم اعترض بيانات وتوثيقاً عبر مكالمات ARS ورسائل SMS.
- وجدت اللجنة شهادة صالحة لعشر سنوات، وغياب تقييد مصدر IP، ومساراً يتجاوز خادم الإدارة، وضعفاً في إدارة معرفات الخلايا.
- يتعين على KT تقديم إجراءات خلال ثلاثة أشهر؛ أما إحالات KT وLG Uplus في ملفات أخرى فليست أحكام إدانة.
المرحلة الأولى: جهاز مفقود بقي يحمل ثقة الشبكة
تستخدم الخلية الصغيرة لتحسين التغطية داخل منزل أو مكتب أو مكان تحت الأرض. وجودها لدى العميل لا يجعلها جهازاً يملكه العميل. بحسب القرار، كانت الوحدات ملكاً لـKT، يركبها فنيوها، ولا تباع للمستخدم.
احتفظت الشركة أيضاً بسلطة الموافقة على دخول الجهاز إلى شبكة الهاتف المحمول، وإدارة التوثيق، والسماح بالوصول الداخلي، وتشغيل الضوابط الأمنية. دور المستخدم اقتصر على توفير بيئة التركيب. ولذلك لم تنتقل مسؤولية الثقة إلى المكان الذي وُضع فيه الجهاز.
عندما فُقدت إحدى الوحدات، استخرج المهاجم شهادتها. كان ينبغي أن تتحول واقعة الفقد إلى إبطال للهوية الرقمية المرتبطة بها. لكن السر ظل مقبولاً، وأصبح بالإمكان نقله من أصل معروف إلى جهاز لا وجود له في سجل الأصول.
المرحلة الثانية: شهادة قديمة دخلت جهازاً جديداً
زرع المهاجم الشهادة في خلية صغيرة صنعها بنفسه. وحددت KT صلاحية شهادات هذه الأجهزة بعشر سنوات. لا تكفي مدة طويلة وحدها لإحداث الهجوم، لكنها تمنح النسخة المسروقة عمراً مفيداً ما لم توجد عملية إبطال فعالة.
هنا يظهر الفرق بين عمرين. عشر سنوات هي مدة الثقة المصممة في الشهادة. أما الفترة من 8 أكتوبر 2024 إلى 5 سبتمبر 2025، أي نحو 11 شهراً، فهي نافذة الاتصال غير المصرح به التي أثبتتها اللجنة. لا يجوز تحويل الأولى إلى عشر سنوات من الاختراق، ولا الثانية إلى دليل على استخراج متواصل كل يوم.
إدارة الشهادة كان ينبغي أن تربطها بجهاز محدد وموقع متوقع، وأن تجعل الفقد سبباً سريعاً للإبطال. قبول السر وحده سمح للجهاز المصنوع بأن يرث صفة الأصل الحقيقي.
المرحلة الثالثة: ثلاثة ضوابط أخرى لم تعترض السر المسروق
حتى بعد اختراق الشهادة، كان يمكن لبيانات أخرى أن تناقضها. لم تفرض KT قيداً على عنوان IP الذي تتصل منه الخلية، فكان الاتصال ممكناً عبر شبكة شركة أخرى أو عنوان موجود خارج البلاد. مصدر غير متوقع لم يتحول إلى حاجز مستقل.
ووجدت اللجنة مساراً يمكنه تجاوز خادم إدارة الخلايا الصغيرة. يفترض أن يطابق هذا الخادم الجهاز مع السجل والإعداد والحالة المسموح بها. تجاوزه يضعف نقطة القبول المركزية.
أما الضابط الثالث فكان معرف الخلية الذي يُمنح عند الاتصال بقلب الشبكة. لم تكن إدارة هذه المعرفات كافية لكشف هوية غير مصرح بها أو سلوك اتصال شاذ. وهكذا لم توقف صلاحية الشهادة، ولا أصل الشبكة، ولا مسار الإدارة، ولا هوية الخلية الجهاز المزيف. هذه سلسلة دفاع فشلت طبقاتها في احتواء بعضها بعضاً.
المرحلة الرابعة: اعتراض الهوية لم يكن هو الدفع بعد
دفع الجهاز المزيف هواتف مستخدمين إلى المرور عبره، واعترض معلومات متبادلة بينها وبين الشبكة الداخلية. شملت البيانات المكشوفة رقم الهاتف، وIMSI الذي يعرّف اشتراك الهاتف المحمول، وIMEI الذي يعرّف الجهاز.
لا تسحب هذه المعرفات مالاً بمفردها. تقول اللجنة إن المهاجم جمعها مع معلومات أخرى مثل الاسم والجنس وتاريخ الميلاد، ثم طلب مدفوعات صغيرة. وبعد ذلك اعترض مكالمات ARS ورسائل SMS التي تحمل توثيق الدفع، فنجحت معاملات غير مصرح بها.
هذا التسلسل يثبت آلية وصلت إلى ضرر مالي، لكنه لا يثبت النتيجة نفسها لكل شخص. تعرضت معرفات 16,647 شخصاً، بينما ثبتت مدفوعات لدى 368 شخصاً. ولا ينشر القرار العدد الإجمالي للمكالمات أو الرسائل التي اعترضت، ولا يقول إن كل معلومة مكشوفة استُخدمت في الاحتيال.
ثلاثة مقامات تمنع تضخيم عدد الضحايا
أبلغت KT أولاً عن 22,227 خطاً. وبعد حذف خطوط الشركات وتكرار الشخص الذي يملك أكثر من خط، حددت اللجنة 16,647 صاحب بيانات فعلياً، بمن فيهم مستخدمو المشغلين الافتراضيين. الرقم الأول يقيس اتصالات وخدمات؛ الثاني يقيس أشخاصاً.
أما الرقم الثالث فهو 368، أي الأشخاص الذين ثبتت لديهم مدفوعات غير مصرح بها. جمع 22,227 مع 16,647 يعيد عدّ جزء من الواقعة. تسمية الخطوط أشخاصاً تكرر أصحاب الخطوط المتعددة. وتسمية كل 16,647 ضحايا مالية تخلط التعرض بالخسارة المحققة.
تحتاج فرق الشبكة إلى الخطوط لتحديد السجلات والخدمات. ويحتاج الإخطار والحقوق إلى عدد الأشخاص. وتحتاج تسوية المدفوعات إلى قائمة الـ368. لكل مقام إجراء مختلف، لذلك فإن الفصل بينها جزء من سلامة الاستجابة وليس مجرد دقة لغوية.
نحو 11 شهراً من الإمكان لا تعني نشاطاً يومياً
تمكن الجهاز غير المصرح به من الاتصال خلال نافذة امتدت نحو 11 شهراً، ولم تكشف KT السلوك الشاذ فيها. لم يظهر الخلل إلا بعدما أدت أضرار ثانوية إلى شكاوى عديدة. عملياً، أصبح المتضررون أداة إنذار كان ينبغي أن تسبقها مراقبة الشبكة.
النتيجة خطيرة من دون إضافة ما لم يثبت. فالقرار لا يقدم عدد الاتصالات اليومية أو حجم البيانات أو جدولاً زمنياً لكل عملية اعتراض. الصياغة الدقيقة هي أن مساراً غير مشروع ظل قابلاً للاستخدام، وأن الشركة لم تكتشفه في الوقت المناسب.
يجب أن يضيف التقرير اللاحق التواتر والحجم: متى ظهر معرف الخلية، وكم مرة عاد، ومن أي مصادر، وما التنبيه الذي كان ينبغي أن يصدر. هذه البيانات وحدها تستطيع تحويل نافذة الإمكان إلى وصف أدق للنشاط الفعلي.
الغرامة تحاسب على المسار، لا على مبلغ السرقة فقط
بلغت المدفوعات غير المصرح بها المؤكدة نحو 240 مليون وون. الغرامة 53.979 مليار وون، أي قرابة 225 ضعفاً. هذه مقارنة حسابية مفيدة، وليست معادلة أعلنت اللجنة أنها استخدمتها، كما أن الغرامة ليست تعويضاً يوزع على الضحايا.
موضوع العقوبة أوسع: شركة تدير شبكة وطنية لم تطبق ضوابط كافية لمنع الوصول غير المشروع إلى أنظمة تعالج المعلومات الشخصية. بقيت هوية جهاز مفقود صالحة، وقبلت الشبكة أصلاً غير متوقع، ولم يظهر المعرف الشاذ قبل وقوع ضرر للمستهلك.
ولا يمثل 240 مليون وون التكلفة الكاملة. التحقيق، وخدمة العملاء، وتسوية الاحتيال، وإعادة تصميم الشهادات والمراقبة، وتوسيع نطاق التدقيق كلها تكاليف منفصلة لم يحدد القرار ميزانيتها.
ثلاثة أشهر لاختبار ما إذا أصبح التحكم قابلاً للقياس
أمرت اللجنة KT بفحص ثغرات الخلايا الصغيرة وغيرها من معدات الاتصالات، وتعزيز منع الوصول غير القانوني إلى البيانات داخل الشبكة، وتوضيح الدور الفعلي لمسؤول الخصوصية الأعلى. وعلى الشركة صياغة الإجراءات وتقديم تقرير عنها خلال ثلاثة أشهر. وأوصت اللجنة بتوسيع نطاق شهادة ISMS-P إلى أنظمة شبكة الهاتف المحمول المعنية.
لا تعني التوصية أن التوسيع اكتمل. وينبغي ألا يكتفي التقرير بعبارة «تعزيز الأمن». الاختبارات المهمة هي زمن إبطال شهادة جهاز مفقود، ونسبة الخلايا الموجودة في سجل موثوق، ومصادر الاتصال المسموح بها، ووقت كشف تجاوز خادم الإدارة، وطريق وصول التنبيه إلى صاحب السلطة.
وفي ملف منفصل يتعلق ببرمجيات خبيثة في 2024، أحالت اللجنة KT بسبب عدم الإبلاغ وحذف سجلات وتقديم مواد قالت إنها غير صحيحة. كما أحالت LG Uplus إلى المحققين بسبب إتلاف أو إعادة تثبيت خوادم مزعوم قبل التحقيق. هذه قضايا تخص حفظ الأدلة والشفافية، لكنها ليست الآلية نفسها، والإحالة لا تساوي إدانة.
الخلية «صغيرة» من حيث تغطيتها الراديوية فقط. أما الشهادة التي يقبلها قلب الشبكة فتحمل نطاقاً أوسع من المسؤولية. نجاح المعالجة سيظهر عندما تصبح الوحدة المفقودة غير موثوقة فوراً، ويصبح الجهاز المجهول مرئياً قبل أن يتحول إلى خسارة في حساب العميل.